Cloud : 4 conseils pour protéger vos données des éventuels sinistre

Vos données sont-elles vraiment en sécurité une fois migrées vers le cloud ? Le récent incendie du datacenter d'OVHcloud en France tend à prouver le contraire. Ce dernier a en effet affecté des millions de sites Web, dont des agences gouvernementales, des e-commerçants et des banques, entraînant la perte de nombreuses données. Si certaines ont été stockées et sauvegardées, d'autres ont été définitivement perdues.

Pourtant, de nombreuses entreprises pensent encore à tort que leurs données stockées dans le cloud sont sauvegardées et protégées par le fournisseur de services. C'est même le cas pour plus de la moitié des décideurs français ayant répondu à une récente étude sur le sujet et déclarant ainsi que cette responsabilité incombe en effet au fournisseur. Une idée fausse largement répandue.

Alors comment expliquer cela ? Tout d'abord, de nombreux utilisateurs de services cloud pensent que, parce que ces derniers sont désormais courants et simples à utiliser, ils ne présentent aucun risque de sécurité et ne sont pas sujets aux sinistres.

Prenons l'exemple du covoiturage, un service également courant et simple à utiliser. Le fait de l'utiliser ne vous protège pas d'un accident de la route. Oui, vous n'avez pas à vous soucier d'acheter de l'essence ou d'entretenir le véhicule. Mais une fois que vous êtes dans celui-ci, il vous appartient toujours d'agir de manière responsable en vous assurant par exemple de boucler votre ceinture. Et c'est précisément la partie que beaucoup d'utilisateurs cloud oublient.

Voici donc quatre conseils pour garantir la sécurité de vos données, et ce même si un sinistre touche votre fournisseur de services.

1. Ne vous fiez pas uniquement à votre fournisseur pour protéger vos données

En migrant vers le cloud, les entreprises doivent être conscientes que la sécurité est une responsabilité partagée entre elles et leur fournisseur de services, dont l'équilibre n'est pas tout à fait égal. En effet, c'est bien vous, le client, qui êtes le premier responsable de la protection de vos données dans le cloud, et non le fournisseur de services.

Les principaux fournisseurs tels que AWS, Microsoft Azure, Wasabi et Google Cloud Platform sécurisent généralement l'infrastructure et les services de base et en assument la responsabilité. Mais lorsqu'il s'agit de sécuriser les systèmes d'exploitation, les plateformes et les données, c'est au client que cela incombe. Les entreprises qui négligent ce principe seront donc beaucoup plus susceptibles de subir des pertes de données.

Si vous vous abonnez à un service comme celui d'Office 365, par exemple, Microsoft indiquera clairement dans ses conditions générales que la responsabilité relative à vos données ne lui incombe pas. Il vous appartient de gérer et de protéger vos données.
En règle générale, Microsoft sauvegarde vos données pendant 30 jours, après quoi il en cède la responsabilité.

C'est pourquoi il sera alors recommandé d'utiliser un système tiers pour protéger les données à long terme.

Les dirigeants d'entreprise doivent prendre conscience de cette responsabilité et s'assurer qu'ils ont mis en place une stratégie de protection efficace. Cela doit notamment passer par le test régulier de leur capacité à se remettre d'une perte de données si elle se produit.

2. Adoptez une stratégie de protection des données en 3-2-1-1

La stratégie en 3-2-1-1 prévoit trois copies de sauvegarde de vos données sur deux supports différents, tels qu'un disque et une bande, l'une d'elles étant située hors site pour permettre la reprise après sinistre. Le dernier 1 du 3-2-1-1 correspond quant à lui au stockage en objets immuables.

Les entreprises doivent rechercher une solution de stockage cloud qui protège les données de manière continue, notamment grâce à des snapshots réalisés toutes les 90 secondes. Ainsi, même en cas de sinistre, il est possible de récupérer rapidement les fichiers. Le stockage dans le cloud étant immuable, vous disposerez toujours d'une série de points de récupération, ce qui garantit une protection optimale.

3. Posez les bonnes questions

Il existe en effet une liste de questions fondamentales à poser à votre fournisseur de services cloud. Demandez-lui quelles procédures il suit pour assurer la continuité de ses activités et la reprise après sinistre. Vous devez également comprendre ses niveaux de service. Son service est-il conçu pour rester opérationnel 99 % du temps ou 99,999 % ?
La différence avec les chiffres après virgules peut faire la différence entre trois jours complets et 27 minutes de temps d'arrêt par an pour votre entreprise. Et celle-ci peut avoir un impact significatif sur vos résultats.

Vérifiez également si votre fournisseur propose une sauvegarde supplémentaire des données qui vous permet de conserver vos données sur différents sites géographiques. Si tel est le cas, ce service est-il intégré ou devez-vous vous abonner à un partenaire tiers de protection des données pour vous assurer que vous disposez d'un plan approprié de sauvegarde des données et de reprise après sinistre ?

Enfin, demandez dans quelle mesure il est facile ou difficile de changer de fournisseur de services cloud puisque cela peut également s'avérer plus facile à dire qu'à faire.

4. Établissez un plan de reprise précis

Un plan de sauvegarde et de récupération adéquat vous permet de protéger vos données en cas de sinistre. Tout d'abord, il doit comprendre une simulation de l'interruption des activités afin d'évaluer l'efficacité du dispositif. Il doit également inclure des tests réguliers de vos images de sauvegarde afin que vous puissiez résoudre tout problème avant qu'il ne se produise.
Dans le cas de l'incendie d'OVHcloud, les clients qui avaient mis en place un plan de reprise ont pu limiter les dégâts et éviter une perte de données définitive.

En matière de protection des données, les entreprises doivent s'équiper du meilleur et se préparer au pire. La mise en place d'un plan solide vous permettra de retomber sur vos pieds, quelle que soit l'ampleur de votre chute.

Florian Malecki, Directeur Marketing Produit International - Arcserve.